Protection des données domiciliation : les obligations 2026

Une société de domiciliation doit formaliser sa procédure LCB‑FT, cartographier ses risques clients et conserver l’ensemble de ses preuves pendant plusieurs années après la fin de la relation d’affaires. Centraliser ces données dans un outil unique, doté d’une piste d’audit horodatée comme celle qu’offre Adryo, reste la façon la plus fiable de répondre sans stress à un contrôle préfectoral, du greffe ou de Tracfin.

---

En bref:

• La centralisation des données LCB‑FT dans un outil unique horodaté facilite la réponse en contrôle préfectoral, Tracfin ou greffe.
• La cartographie des risques doit couvrir la zone géographique, la nature d’activité, le volume des opérations et les signaux d’opérations atypiques.
• La conservation des preuves doit s’étaler sur plusieurs années avec un format sécurisé comme le journal d’audit en PDF horodaté.
• La gestion de la conformité doit inclure une classification des risques intégrée dans le logiciel, avec des workflows bloquant la création de dossiers incomplets.
• La plateforme Adryo offre une réponse immédiate aux contrôles en regroupant toutes les fonctions réglementaires en France, avec une traçabilité horodatée.

---

Table des matières

• Quelles obligations LCB‑FT et RGPD s’appliquent à un domiciliataire ?
• Comment formaliser la procédure interne LCB‑FT dans votre système d’information ?
• Combien de temps conserver les preuves et sous quel format ?
• Pourquoi centraliser la conformité dans un outil français dédié ?
• Comment préparer concrètement un contrôle préfectoral ou Tracfin ?
• Pourquoi centraliser sa conformité évite les vrais risques d’agrément
• Adryo centralise votre conformité pour affronter les contrôles sans stress
• Sources

Quelles obligations LCB‑FT et RGPD s’appliquent à un domiciliataire ?

La domiciliation d’entreprises figure parmi les activités assujetties à la lutte contre le blanchiment de capitaux et le financement du terrorisme. Trois autorités se partagent le contrôle : la préfecture pour l’agrément, la DGCCRF et Tracfin pour le volet LCB‑FT, et la CNS pour la déontologie des professionnels concernés. Les guides pratiques publiés par la DGCCRF et Tracfin rappellent que chaque domiciliataire doit bâtir une cartographie des risques propre à son portefeuille de clients, et non recopier un modèle générique.

Cette cartographie doit couvrir plusieurs axes concrets :

• la zone géographique d’origine des clients domiciliés, avec une vigilance renforcée pour les pays figurant sur les listes GAFI ;
• la nature de l’activité déclarée et sa cohérence avec le profil du dirigeant ;
• la fréquence et le volume des opérations passant par l’adresse de domiciliation ;
• les signaux d’opérations atypiques, comme un changement brutal de mandataire ou une adresse partagée par un nombre inhabituel de sociétés.

Côté RGPD, le traitement de ces données trouve sa base légale dans l’obligation légale de vigilance elle‑même, ce qui simplifie la justification auprès des personnes concernées : vous n’avez pas besoin de leur consentement pour collecter une pièce d’identité ou vérifier un bénéficiaire effectif, mais vous devez rester transparent sur la finalité et la durée de conservation. L’articulation entre les deux réglementations tient en une phrase : le RGPD encadre la façon dont vous traitez la donnée, la LCB‑FT impose que vous la collectiez et la gardiez.

Comment formaliser la procédure interne LCB‑FT dans votre système d’information ?

Deux documents sont attendus lors de tout contrôle : la classification des risques et la procédure interne elle‑même, qui décrit précisément qui fait quoi. La fiche pratique de la douane sur la procédure interne LCB‑FT détaille le contenu minimal attendu : critères de classification, modalités de vigilance renforcée, circuit de la déclaration de soupçon.

Concrètement, voici la marche à suivre pour la mettre en œuvre :

1. Désignez un responsable conformité et un déclarant Tracfin, même dans une structure de deux ou trois personnes. Les lignes directrices DGCCRF‑Tracfin commentées par Kandbaz sont claires sur ce point : la taille de la société ne dispense de rien.
2. Traduisez la classification des risques en champs obligatoires dans votre logiciel : score de risque par dossier, déclencheurs de vigilance renforcée, alerte automatique en cas de bénéficiaire effectif non identifié.
3. Paramétrez des workflows qui bloquent la création d’un dossier tant que les justificatifs RBE et les pièces d’identité ne sont pas chargés.
4. Si vous externalisez une partie du contrôle (cabinet d’expertise comptable, prestataire de criblage), gardez à l’esprit que la responsabilité finale reste celle du dirigeant de la société de domiciliation.

Conseil de pro : ne laissez jamais la classification des risques vivre dans un fichier Excel séparé du dossier client. Le jour du contrôle, c’est l’incohérence entre les deux qui saute aux yeux de l’inspecteur.

Combien de temps conserver les preuves et sous quel format ?

La règle est nette : plusieurs années après la cessation de la relation d’affaires pour l’ensemble des informations liées au client et à l’opération, comme le précise la fiche pratique de la douane. Le décret n°2026‑310 ajoute une exigence spécifique aux attestations de formation : elles doivent être gardées pendant toute la durée de présence du salarié, puis plusieurs années supplémentaires après son départ.

Les contrôles portent sur des preuves très concrètes :

• pièces d’identité et justificatifs de bénéficiaire effectif, horodatés au moment de leur collecte ;
• captures d’écran ou logs prouvant qu’une vérification triennale a bien eu lieu ;
• attestations de formation LCB‑FT nominatives, par collaborateur ;
• états semestriels transmis au greffe, archivés avec leur date d’envoi.

Un format en particulier revient dans les guides sectoriels : le journal d’audit immuable, exportable en PDF horodaté. C’est ce format qui évite la contestation d’antériorité, un point que les analyses sur les obligations de formation identifient comme la faille la plus fréquemment relevée en contrôle : l’absence de preuve de formation, même quand la formation a bien eu lieu.

Pourquoi centraliser la conformité dans un outil français dédié ?

Multiplier les fichiers Excel, les e‑mails de preuve et les classeurs papier revient à multiplier les points de rupture. Une plateforme SaaS pensée pour les domiciliataires réunit les fonctions qui comptent réellement en contrôle :

• CRM des sociétés domiciliées avec historique complet du dossier ;
• dossier de vigilance intégrant criblage PPE, sanctions et listes GAFI ;
• signature électronique conforme au règlement eIDAS pour les contrats ;
• registre des mandats tenu à jour automatiquement ;
• génération de l’état semestriel destiné au greffe.

L’hébergement des données en France pèse plus qu’on ne le croit dans l’équation juridique : il limite les questions de transfert international qu’un contrôle RGPD pourrait soulever, et il simplifie la réponse quand un inspecteur demande où et comment les données sont stockées. Adryo réunit ces fonctions dans une source de vérité unique, avec une piste d’audit horodatée exportable à tout moment, ce qui réduit la ressaisie entre le logiciel de facturation, l’outil de signature et le tableau de suivi des mandats.

Conseil de pro : activez systématiquement l’authentification à double facteur et une gestion des accès par rôle (RBAC) sur votre outil de conformité. Un contrôle qui révèle un accès partagé entre plusieurs employés sans traçabilité individuelle est presque aussi problématique qu’un dossier incomplet.

Comment préparer concrètement un contrôle préfectoral ou Tracfin ?

Un contrôle réussi se prépare avant qu’il ne soit annoncé, pas pendant les quarante-huit heures qui précèdent.

1. Vérifiez la complétude de chaque dossier client : pièces d’identité à jour, vérification triennale effectuée, bénéficiaires effectifs identifiés.
2. Rassemblez les preuves de formation par collaborateur et assurez‑vous qu’elles portent une date vérifiable.
3. Testez l’export rapide de votre registre des mandats et de vos états semestriels : un inspecteur qui attend vingt minutes pour un document n’a pas une bonne première impression.
4. Désignez à l’avance qui, en interne, répond à l’inspecteur : le responsable conformité en priorité, le dirigeant en second recours.
5. Après le contrôle, mettez à jour votre procédure interne pour corriger les écarts constatés, même mineurs.

Pourquoi centraliser sa conformité évite les vrais risques d’agrément

Le risque qui menace réellement un agrément préfectoral n’est presque jamais l’absence de bonne volonté : c’est l’incapacité à produire une preuve au bon moment. J’ai vu cette logique se répéter dans tous les guides sectoriels consultés pour cet article : ce n’est pas la procédure qui manque le plus souvent, ce sont les traces de son application. Une plateforme qui horodate chaque action, du dépôt d’une pièce d’identité à l’envoi de l’état semestriel, transforme un contrôle redouté en formalité administrative.

— Aimen

Adryo centralise votre conformité pour affronter les contrôles sans stress

Adryo n’est pas un service de domiciliation : c’est le logiciel que les domiciliataires utilisent au quotidien pour gérer leurs dossiers, leur conformité LCB‑FT et leurs obligations réglementaires depuis un seul endroit.

La plateforme regroupe le dossier de vigilance, le criblage PPE et sanctions, la signature électronique eIDAS pour vos contrats, le registre des mandats tenu automatiquement, et la génération de l’état semestriel pour le greffe. Les données restent hébergées en France, et chaque action laisse une trace horodatée que vous pouvez exporter en quelques clics le jour d’un contrôle. Résultat concret : plus de ressaisie entre trois ou quatre outils différents, et une réponse immédiate quand la préfecture, le greffe ou Tracfin demandent une pièce précise. Si votre société de domiciliation gère encore sa conformité entre Excel et boîte mail, une démonstration de la plateforme vous montrera concrètement où se situent les failles actuelles de votre dossier.

Sources

• La procédure interne LCB‑FT — Douane (fiche pratique)
• Domiciliation : décret LCB‑FT et obligations de formation — Working Life

Cet article constitue une information générale et ne remplace pas l’avis d’un avocat qualifié. Consultez un professionnel du droit qualifié à propos de votre cas personnel avant d’agir sur la base de ce contenu.

Recommandation

• Adryo — Toute votre domiciliation, une seule plateforme